Wat zijn nawt-gegevens?
Nawt is de afkorting van naam, adres, woonplaats en telefoonnummer. Het zijn de vier gegevens die Nederlandse formulieren, leveranciers en helpdesken het vaakst vragen — soms als “nawt”, soms als “naw”, soms gewoon als “uw gegevens”. Een geboortedatum of burgerservicenummer zitten er niet in; uw bsn of sofinummer al helemaal niet.
Het is dus geen technisch begrip maar een administratieve. En juist daarom is het kwetsbaar: het zijn gegevens die iedereen van u kan opschrijven, en die in de praktijk worden gebruikt alsof het wachtwoorden waren.
Waarom dit geen onschuldige vraag is
Veel organisaties controleren uw identiteit met nawt-gegevens: de helpdesk vraagt uw geboortedatum en adres voordat men u te woord staat, de leverancier stuurt een factuur naar “het bekende adres”, de telecomprovider bevestigt een nummerwissel na drie vragen. Daarmee doen ze iets gevaarlijks: ze behandelen publiek rekonstrueerbare gegevens als bewijs van wie u bent.
Een aanvaller hoeft u niet te kraken. Die zoekt uw naam op bij de KvK, uw adres op een bestellijst, uw telefoonnummer op een vacature, en belt. In Nederland is dat geen theorie meer: na het Odido- en Ben-lek (6,2 miljoen personen, februari 2026) bleek hoe breed dit soort gegevens circuleerden. Nummerovername daarna is een kwestie van bellen met de juiste antwoorden.
Wat u van nawt-gegevens moet vinden
- Vraag niet meer dan nodig. De AVG noemt dat databesparing. Een leverancier die uw geboortedatum wil voor een levering, heeft die meestal niet nodig.
- Bewaar niet langer dan nodig. Een oud klantbestand met nawt-gegevens van tien duizend mensen is geen asset, het is een verplichting met een vervaldatum.
- Geef het niet via de mail door. Mail is een kaart met uw adres erop. Voor gevoelige gegevens bestaan portaal en versleuteling.
- Belangrijkste regel: nawt-gegevens zijn geen identificatie. Waar het echt om gaat, hoort een echte tweede factor, geen adresvraag.
Voor medewerkers: de bel van de “helpdesk”
Helpdeskphishing werkt niet met techniek maar met nawt: “ter verificatie uw geboortedatum en laatste vier cijfers”. Uw medewerkers moeten twee dingen weten:
- Echte ondersteuning vraagt nooit om een wisselcode of wachtwoord, en niet om uw geboortedatum als enige bewijs.
- Bij twijfel: ophangen en terugbellen naar het nummer dat u zelf opzoekt. Nooit het nummer dat de beller noemt.
En voor de werkgever: als een medewerker dat gesprek verkeerd afhandelt, is de schade niet zijn schuld maar die van een proces dat alleen op adressen vertrouwde. Wij bouwen die verificatie anders: via bericht in de eigen chat, of via een bevestiging in een systeem dat de medewerker al kent.
Herstelcodes: de fout die het vaakst voorkomt
Bijna iedereen heeft ze gekregen en bijna niemand weet waar ze zijn: herstelcodes van Google, Microsoft, Apple, uw wachtwoordmanager of een bank. Verliest u uw telefoon of uw authenticator, dan zijn het uw enige reddingsmiddel. Verliest u die tegelijk, dan bent u geen slachtoffer van een aanval maar van administratie — en het account is toch weg.
Zo moet het:
- Genereer nieuwe herstelcodes en download of print ze direct na het instellen, niet later.
- Berg ze op op twee plaatsen: in uw wachtwoordmanager én op papier, achter het slot, en niet in uw mail of op uw telefoon.
- Zet bij elk account een herstelpad dat u aankunt: een tweede apparaat, een vertrouwd persoon, of een vast nummer dat niet aan één SIM hangt.
- Test het. Een herstelmethode die nooit is geprobeerd, is een gok.
Waar u herstelcodes vindt
| Dienst | Waar |
|---|---|
| myaccount.google.com → Beveiliging → Tweestapsverificatie → back-upcodes | |
| Microsoft | account.microsoft.com → Beveiliging → Geavanceerde beveiligingsopties |
| Apple | Instellingen → Wachtwoord en beveiliging → Herstelcodes |
| Instellingen → Account → Tweestapsverificatie (pin, plus herstel-e-mail) | |
| Nederlandse banken | Bij de meeste banken via de bank-app of de klantenservice; sommige vragen een afspraak op locatie |
| DigiD | DigiD-app of digid.nl; bij verlies van de app is een identificatie vereist |
Wat GSAP voor u doet
- Inventaris. Welke accounts bestaan er, wie heeft er toegang, en wat gebeurt er als die persoon uitvalt of vertrekt.
- Herstelplan. Per account: welke factor, waar de codes staan, wie de back-up is, en wat de dienst zelf vraagt.
- Sleutelbeheer bij uitval. Afspraken voor ziekte, vertrek en overlijden — in Nederland kunt u vastleggen wie uw digitale nalatenschap beheert, en dat is geen detail maar de enige weg naar uw gegevens.
- Oefenen. Een herstelplan dat niet getest is, is een tekst. Wij doen één oefening per jaar met u.
- Apparaten erbij. Op een privacytelefoon of beheerde laptop zijn codes en profielen ook daadwerkelijk terug te halen; op een privéstel van een vertrokken medewerker vaak niet.
Vragen
Mag een leverancier al mijn nawt-gegevens vragen?
Alleen wat nodig is voor het doel. Vraag waarom; een weigering om onnodige gegevens te geven is uw recht, en een leverancier die dan weigert, vertelt u iets.
Wat als ik mijn herstelcodes kwijt ben?
Genereer nieuwe vanaf een apparaat waarop u nog ingelogd bent, en berg ze dit keer dubbel op. Lukt dat niet, dan begint een identiteitscontrole bij de dienst zelf; daar houdt onze invloed op en begint uw geduld.
Is een wachtwoordmanager niet genoeg?
Voor wachtwoorden: ja. Voor herstelcodes en herstelpaden: alleen als die manager zelf een deugdelijke herstelroute heeft, en iemand anders het account kan bereiken als u niet kunt.
Moet dit per medewerker?
Per account, niet per persoon. Dat is waarom inventarisatie vooraf gaat aan advies.
Terug naar het overzicht · Privacytelefoon met GrapheneOS · Vraag naar een herstelplan